 
DIVISION DE CAEN
À Montrouge, le 28 janvier 2020 N/Réf. : CODEP-CAE-2020-007859 Monsieur le Directeur de l'aménagement de Flamanville 3 BP 28 50 340 FLAMANVILLE


Objet : Contrôle des installations nucléaires de base EPR Flamanville - INB n° 167 Inspection n° INSSN-CAE-2019-0130 du 03 au 06 décembre 2019 Contrôle des essais de démarrage Réf. : [1] - Code de l'environnement, notamment son chapitre VI du titre IX du livre V [2] - Arrêté ministériel du 10 novembre 1999 modifié relatif à l'exploitation des CPP et CSP des REP, notamment son article 7 pour la comptabilisation des situations [3] - Arrêté ministériel du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base 
 [4] - Décision n° 2013-DC-0347 de l'Autorité de sûreté nucléaire du 7 mai 2013 fixant les prescriptions relatives au site électronucléaire de Flamanville (Manche) pour les essais de démarrage du réacteur « Flamanville 3 » (INB n°167) 
 [5] - Instruction INS.EPR.629 « Traitement du REX sur le site de FLA3 » (référence ECFA082264, indice E) [6] - Instruction INS.EPR 670 « Préparer - Réaliser - Surveiller les essais » (référence ECFA096086, indice E) [7] - Instruction INS.EPR 671 « maîtrise du risque FME » (référence D458516007662, indice A) 
 [8] - Note d'application commune « Collaborations AFA/DPNT lors de la préparation et la réalisation des essais » (référence D305116080040, indice A) 
 [9] - Guide d'identification des AIP - lot Électricité (référence ECFA094416, indice F) [10] - Liste de classement des matériels de l'EPR (référence ECEF0000837, indice I) 
[11] - Note technique « identification des AIP essais de démarrage sur l'Aménagement » (référence ECFA110823, indice B) 

## Monsieur Le Directeur,

Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base en référence [1], une inspection renforcée a eu lieu du 03 au 06 décembre 2019 sur le chantier de construction du réacteur de Flamanville 3 sur le thème du contrôle des essais de démarrage. J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent. 

## Synthèse Globale De L'Inspection

L'inspection renforcée menée du 03 au 06 décembre 2019 a concerné l'organisation définie et mise en œuvre pour la préparation et la réalisation des essais de démarrage du réacteur n° 3 de Flamanville. Dans cet objectif, plusieurs équipes d'inspecteurs ont examiné différents sujets liés à ce thème : la gestion du retour d'expérience, l'examen des premiers résultats et l'analyse de premier niveau ainsi que la configuration du contrôle-commande pour permettre la réalisation des essais à chaud (EAC). Des inspecteurs se sont également intéressés à la manière dont étaient réalisés les essais en cours ou à examiner l'activité quotidienne des essayeurs. Au vu de cet examen par sondage, l'organisation définie et mise en œuvre sur le site pour la préparation et la réalisation des essais de démarrage du réacteur n° 3 de Flamanville apparaît globalement satisfaisante. 

Toutefois, l'exploitant devra s'assurer de pouvoir démontrer le caractère représentatif1 des essais menés sur les structures, systèmes et composants (SSCs) fortement modifiés pour la phase d'essais à chaud. 

## Synthèse De L'Inspection Par Sous-Thème

Outre la synthèse globale présentée ci-dessus, les points les plus notables sont rassemblés dans ce paragraphe par sous-thème d'inspection. Le détail des demandes d'actions correctives, des compléments d'information et des observations est fourni plus loin. 

## Gestion Du Retour D'Expérience Et Engagement Des Actions Correctives

Les inspecteurs ont examiné l'organisation mise en place par l'exploitant pour tirer les enseignements des écarts et incidents, en vue d'améliorer notamment la réalisation des essais de démarrage et la conduite de l'exploitation après mise en service. Ils ont relevé un effort important pour collecter et analyser les éléments de ce retour d'expérience. Les dispositions mises en place pour identifier et traiter les écarts et incidents sont en effet abondantes. De même, certaines situations ont illustré l'aptitude de l'exploitant à suspendre une activité pour prendre du recul et réfléchir au traitement réactif d'un aléa. Cependant, cette organisation n'est pas documentée dans le système de management intégré du site, ce qui est contraire aux termes de l'arrêté ministériel du 07 février 2012 modifié [3], et aucun pilotage formel du processus ne permet à l'exploitant de s'interroger sur son efficacité. De fait, les inspecteurs ont noté que des événements récents avaient pour origines des causes annoncées comme traitées à l'issue d'événements antérieurs. 

## Résultats Des Essais Réalisés En Essais À Chaud Et Analyse De Premier Niveau

Les inspecteurs ont consulté la documentation d'essai pour en évaluer la rigueur du renseignement et la profondeur d'analyse. Cet examen a confirmé des progrès dans ce domaine. Cette appréciation doit néanmoins être modérée en ce qui concerne les aspects liés à la configuration du contrôle-commande. 

## Configuration Du Contrôle-Commande Pour La Réalisation Des Essais À Chaud

Depuis le début des essais de démarrage, la configuration du contrôle-commande (présence de modifications temporaires, etc.) a été impliquée dans plusieurs événements indésirables. C'est pourquoi les inspecteurs ont porté leur attention à ce sujet lors de l'inspection renforcée. 

Ce contrôle a permis d'établir que la maîtrise de la configuration du système RPR2 était insuffisante. Du point de vue de l'ASN, cette lacune est susceptible de remettre en cause le caractère représentatif des résultats d'essais. Le détail des demandes formulées dans ce cadre est fourni ci-après. Réalisation des activités en cours et état des installations Une équipe d'inspecteurs, subdivisée en sous-groupes, a contrôlé les essais en cours de réalisation et l'activité quotidienne des personnes impliquées dans la réalisation de ces essais. Cet examen a montré que les différentes instances de pilotage et les relèves de quart étaient menées de manière satisfaisante. En particulier, lors de ces réunions, les informations et consignes ont été communiquées de façon claire et fluide. De plus, l'organisation adoptée en salle de commande pour l'identification et le traitement des alarmes lors des essais à chaud a été jugée robuste. En revanche, la visite dans les installations a mis en évidence une dégradation de l'état général de propreté et de conservation des structures, systèmes et composants (SSCs). De plus, les conditions d'une intervention réalisée sur un réchauffeur ont été jugées insuffisamment maîtrisées, alors même que ces travaux avait été présentés comme décisifs pour la poursuite d'un essai. 

## A Demandes D'Actions Correctives A.1 Recueil Et Exploitation Du Retour D'Expérience Issu Des Essais De Démarrage

L'article 2.4.1 de l'arrêté ministériel du 07 février 2012 modifié [3] prévoit que : « l'exploitant définit et met en œuvre un système de management intégré qui permet d'assurer que les exigences relatives à la protection des intérêts mentionnés à l'article L. 593-1 du code de l'environnement sont systématiquement prises en compte dans toute décision concernant l'installation […]. Le système de management intégré comporte notamment des dispositions permettant à l'exploitant […] de recueillir et d'exploiter le retour d'expérience ». Vos représentants ont présenté les mesures établies pour recueillir et exploiter les enseignements apportés par les aléas, écarts et incidents survenus lors des essais de démarrage. De plus, ils ont apporté des éléments prouvant que ces mesures étaient effectivement mises en pratique. Les inspecteurs ont relevé des efforts importants pour rassembler et exploiter le retour d'expérience (REX) issu des essais de démarrage. Cependant, les dispositions présentées ne sont pas définies dans l'instruction INS.EPR.629 « Traitement du REX sur le site de FLA3 » [5], ce qui est contraire aux exigences de l'article précité. La version actuelle de ce document se limite en effet à l'exploitation du REX de la construction au bénéfice des projets à venir. Je vous demande de veiller au respect de l'article 2.4.1 de l'arrêté ministériel du 07 février 2012 modifié en définissant dans votre système de management intégré les dispositions permettant de recueillir et d'exploiter le retour d'expérience. Cette exploitation du retour d'expérience doit permettre, sans s'y limiter, d'améliorer la préparation et la réalisation des essais de démarrage ainsi que la conduite de l'exploitation de l'installation. 

## A.2 Pilotage Du Processus De Gestion Du Retour D'Expérience

L'article 2.4.2 de l'arrêté ministériel du 07 février 2012 modifié [3] prévoit que : « l'exploitant met en place une organisation et des ressources adaptées pour définir son système de management intégré, le mettre en œuvre, le maintenir, l'évaluer et en améliorer l'efficacité. Il procède périodiquement à une revue de son système de management intégré dans le but d'en évaluer la performance, d'identifier les améliorations possibles, et de programmer la mise en œuvre des améliorations retenues ». Les inspecteurs se sont intéressés au pilotage du processus de gestion du retour d'expérience et à la manière dont sa performance est évaluée. Vos représentants n'ont pas été en mesure de justifier que le processus de gestion du retour d'expérience était soumis à un pilotage formalisé permettant de l'évaluer et d'en améliorer l'efficacité. De fait, l'examen d'événements survenus lors des essais à chaud a montré que les circonstances qui en étaient à l'origine avaient déjà été identifiées à l'occasion d'incidents antérieurs. Le REX tiré de ces incidents n'avait donc pas été complètement exploité. De même, lors de l'inspection, la consultation des cahiers de quart a montré que des coups de bélier survenus sur des conduites des systèmes APG3 et ASG4 avaient été détectés par les ingénieurs de permanence. Renseignements pris, il est apparu que le service Conduite (SCO) avait eu une réaction appropriée face à ces incidents (recherche des causes et des conséquences matérielles éventuelles). Cependant, si ces incidents avaient bien été consignés dans le cahier de quart de l'ingénieur de permanence, ils n'avaient pas été rapportés avec la diligence requise pour intégration au processus de gestion du REX. Or, des consignes avaient précisément été passées quelques jours auparavant pour rappeler la nécessité de centraliser ces informations. Ces faits révèlent un manque d'efficacité du processus de gestion du REX issus des essais de démarrage. Je vous demande de veiller au respect de l'article 2.4.2 de l'arrêté ministériel du 07 février 2012 modifié en mettant en place une organisation permettant d'évaluer et d'améliorer l'efficacité du processus de gestion du retour d'expérience. 

## A.3 Organisation Pour La Comptabilisation Des Situations

La note d'application commune « Collaboration AFA/DPNT lors de la préparation et la réalisation des essais » [8] prévoit que : 
- si besoin, DPNT/FLA3 réalise une sensibilisation au domaine de la comptabilisation des situations5 aux chargés d'essais des systèmes concernés ; 
- la liste des situations générées ou à risques et les moyens de surveillance associés, soient transcrites dans les relevés d'exécution d'essai (REE) et les analyses de risques de l'essayeur. 

L'essai référencé ASG101 (« Injection plein débit dans un GV pressurisé à 97 bar abs ») comprend des phases susceptibles d'engendrer des situations soumises aux exigences précitées et exige de comptabiliser ces situations. 

Or, le REE associé à l'essai ASG101, consulté lors de l'inspection, ne contenait pas la liste des situations générées ou à risques. De plus, les essayeurs n'ont pas été en mesure d'indiquer clairement leur rôle dans ce domaine et ne connaissaient pas les situations engendrées à comptabiliser. Je vous demande de veiller au respect des dispositions de votre système de management intégré concernant la comptabilisation des situations, en : 
- donnant des instructions claires aux chargés d'essai quant à leurs responsabilités en la matière ; 
- transcrivant dans les relevés d'exécution d'essai (REE) la liste des situations générées ou à risques et les moyens de surveillance associés, ainsi que les analyses de risques de l'essayeur. 

## A.4 Adaptation Des Procédures D'Exécution D'Essai (Pee)

L'instruction INS.EPR 670 [6] prévoit que « avant d'effectuer un essai, le lot chargé des essais […] vérifie qu'il est en possession du dernier document applicable. Dans certains cas, la PEE peut être amendée sur la base d'un document d'adaptation ou d'une autorisation de modification écrite fournie par [l'UCE - unité centrale d'ingénierie]. Il prend contact avec le rédacteur de la PEE ou le correspondant essai (ingénieur système) de l'UCE en cas de doute sur le mode opératoire ou sur la validité de l'essai ». Les inspecteurs ont relevé que la procédure d'essai BAS106 (« perte des sources externes au palier des essais à chaud ») avait subi une modification visant à abandonner le recours aux fiches locales LL8111 et LL4511 (« Faire verrouiller les clapets anti-retour aux extractions DWN et DWQ en local »). Cette modification a été permise par un courriel émanant des services centraux d'EDF, à régulariser par une Liaison Site/Études (LSE) après les essais. Même si les éléments d'analyse étaient bien contenus dans le courriel, cette pratique n'apparaît pas robuste puisqu'elle ne permet pas de garantir la traçabilité de ces analyses à long terme ; ces adaptations devraient donc faire l'objet d'un courrier d'amendement ou d'une LSE validée par cheminement hiérarchique, ces documents devant par la suite être référencés dans le REE. De même, la procédure d'essai ASG101 (« injection plein débit dans un GV pressurisé à 97 bar abs ») prévoit que les vannes réglantes référencées VDAi210VV soient ouvertes à 40 % en début de l'essai. Les inspecteurs ont noté que le chargé d'essai avait modifié cette condition en ouvrant ces robinets à 2%, sans avoir sollicité une validation préalable des services centraux ayant conçu la procédure. L'essayeur rencontré a apporté une justification orale de cette adaptation liée à l'état des systèmes dans la configuration de l'essai, mais n'avait pas documenté cette justification ni fait valider cette adaptation par le correspondant de l'UCE. Je vous demande de veiller au respect des prescriptions de l'instruction INS.EPR 670 en subordonnant les modifications d'une procédure d'exécution d'essai à une autorisation délivrée en bonne et due forme par les centres d'ingénierie d'EDF. 

## A.5 Organisation Du Site Pour Assurer La Maîtrise De La Configuration Du Système Rpr

L'article 2.4.1 de l'arrêté ministériel du 07 février 2012 modifié [3] prévoit que : « l'exploitant définit et met en œuvre un système de management intégré qui permet d'assurer que les exigences relatives à la protection des intérêts mentionnés à l'article L. 593-1 du code de l'environnement sont systématiquement prises en compte dans toute décision concernant l'installation […]. Le système de management intégré précise les dispositions mises en œuvre en termes d'organisation et de ressources de tout ordre pour répondre aux objectifs mentionnés [précédemment]. Il est fondé sur des documents écrits […] ». En outre, l'article 2.5.6 du même arrêté dispose que « les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies ». Selon le guide d'identification [9], le chargement de données ou la modification de logiciel fonctionnel dans un système de contrôle-commande tel que le RPR sont des AIP. Les inspecteurs ont relevé que le système RPR faisait l'objet de plusieurs types de modifications logicielles ou matérielles, que ce soit pour les besoins des essais de démarrage ou pour le traitement d'écarts détectés lors de précédents essais. Ces modifications sont suivies dans différents outils. Il est apparu qu'aucune note d'organisation ne décrit le processus d'implémentation de ces différents types de modifications du contrôle-commande. Ainsi, par exemple, s'agissant de la pose de « scripts » spécifiques aux essais, les inspecteurs ont relevé qu'une procédure générale de réinitialisation du système était mise en œuvre sans prendre en compte les spécificités de l'activité de pose d'un script particulier d'essais ni la configuration particulière pour les essais du système RPR (notamment l'implémentation du script sur les quatre divisions en même temps en contournant une armoire). Les modalités de contrôle technique de cette activité, qui n'étaient pas explicitement définies, ne permettaient pas de garantir a priori une bonne implémentation du script concerné. Cette activité de pose de scripts a fait l'objet d'au moins deux incidents d'essai, ce qui traduit une maîtrise insuffisante de l'activité. 

De plus, vos représentants ont présenté une synthèse des différents types de modifications du contrôlecommande et des outils associés. Néanmoins, les inspecteurs ont relevé la réalisation d'une modification d'un type qui n'avait pas été identifié dans cette présentation. Ce forçage particulier a été réalisé le 4 décembre 2019 dans le cadre de l'essai référencé ASG101. Réalisé à la demande des essayeurs par courriel daté du jour-même, ce forçage a été conçu et mis en œuvre quelques heures après, pendant la réalisation des essais associés. La documentation de ce forçage était disponible en salle de commande mais aucune référence n'était associée à ce forçage et aucune documentation de ce forçage n'avait été reportée dans les procédures d'essais afin d'attester de la configuration effective du système RPR lors de la réalisation des essais. Il apparaît que ce forçage était nécessaire pour la bonne réalisation des essais mais n'avait pas été identifié lors de la préparation associée. Enfin, les inspecteurs ont relevé qu'il n'existe pas d'outil permettant d'avoir une vision exhaustive de l'état du système RPR incluant l'ensemble des modifications associées, qu'elles soient logicielles ou matérielles. Ainsi, le travail important réalisé en préparation des essais à chaud pour la définition de scripts a focalisé l'attention des essayeurs sur la bonne implémentation du script prévu qui leur semblait suffisant pour maîtriser la configuration du contrôle-commande. Or, l'impact des autres modifications du contrôlecommande n'a alors pas été suffisamment pris en compte par les essayeurs ce qui a engendré au minimum un incident d'essai. En outre, lors de leur visite dans les locaux abritant une partie des armoires du système RPR, les inspecteurs ont relevé la présence d'un Dispositif et Moyen Provisoire (DMP) affecté au système élémentaire RRI et référencé 3DMPRRIEN384DMP alors que ce DMP constituait de manière évidente une modification interne au système RPR. Ce type d'affectation rend très difficile l'obtention d'une vision exhaustive de toutes les modifications du système RPR. Globalement, compte tenu de ce qui précède, les inspecteurs relèvent des lacunes dans la maîtrise de la configuration du contrôle-commande, ces lacunes s'illustrant d'ailleurs au travers de plusieurs incidents d'essais (à titre d'exemples : incidents décrits dans les LSE 7507, 7419, 7593 ou le rapport UES860). Je vous demande de veiller au respect des articles 2.4.1 et 2.5.6 de l'arrêté ministériel du 07 février 2012 modifié en définissant dans votre système de management intégré les dispositions permettant de maîtriser toute modification du contrôle-commande. Ces dispositions devront comprendre un contrôle technique adapté à ces modifications. Vous veillerez à définir les outils nécessaires à la maîtrise de la configuration du contrôle-commande pour les besoins des essais de démarrage. Enfin, au vu des incidents d'essais associés à une mauvaise maîtrise de la configuration du contrôle-commande, vous évaluerez l'efficacité des dispositions de renforcement mises en œuvre pour éviter le renouvellement de tels incidents et m'en tiendrez informé. 

## A.6 Surveillance De L'État Des Matériels Du Système Rpr Durant Les Essais De Démarrage

Lors de la visite des locaux abritant les armoires du système RPR, les inspecteurs ont relevé que plusieurs de ces armoires affichaient la présence d'un défaut. Sur deux des armoires concernées, il est ressorti qu'il s'agissait de défauts sans doute apparus puis disparus lors de l'essai référencé BAS106, réalisé quelques jours auparavant. Les défauts n'avaient pas été acquittés localement, laissant apparaître plusieurs défauts potentiels sur les armoires. Je vous demande de veiller à la surveillance régulière de l'état des matériels du système RPR lors des essais de démarrage et à particulièrement à l'issue d'un essai relatif à un transitoire de l'installation. Vous m'indiquerez les actions menées en ce sens. 

## A.7 Respect Des Prérequis - Maîtrise De La Configuration Du Contrôle Commande

L'instruction INS.EPR 670 [6] prévoit que « avant d'effectuer un essai, le chargé d'essai : 
- s'assure que les conditions préalables sont satisfaites : compatibilité avec les essais voisins, planification, […] ; - s'assure que l'ensemble des conditions requises est réuni pour assurer une représentativité des essais, y compris le respect des contraintes amont comme la réalisation des essais identifiés comme des pré-requis. » 
Les inspecteurs se sont intéressés au déroulement de la procédure d'essai BAS106 (« perte des sources externes au palier des essais à chaud »). Ils ont ainsi examiné les incidents apparus lors de cet essai, dont un aléa impliquant l'isolement de l'alimentation en eau des générateurs de vapeur (ARE6). 

Cet isolement a été attribué à un ordre intempestif d'arrêt automatique du réacteur, lui-même causé par l'atteinte du critère « MAX0P » sur le pressuriseur (« critère 0 de pression sur le pressuriseur »). Il est apparu que, pour éviter l'atteinte de ce critère lors de l'essai BAS106, sa valeur aurait dû être rehaussée par modification du contrôle-commande. Or, l'intégration du script de paramétrage du contrôle-commande a été défaillante et n'a pas permis de rehausser la valeur de ce critère. À la demande des inspecteurs, vos représentants ont confirmé que ces modifications avaient été contrôlées préalablement à l'engagement de l'essai BAS106 ; cependant, entre ce contrôle des prérequis et la réalisation de l'essai, le contrôle-commande a de nouveau été modifié pour les besoins d'un autre essai (RRC105 - « Essai du système de régulation de pression vapeur par VDA7 »). Aucun nouveau contrôle n'a ensuite été mené pour vérifier la réintégration correcte des paramètres permettant la réalisation de l'essai BAS106. 

Les inspecteurs concluent donc que la gestion des paramètres et valeurs dans le contrôle-commande n'avait pas été maîtrisée pour le déroulement de l'essai BAS106. Ils relèvent également une défaillance quant à la vérification des prérequis au préalable de l'engagement de l'essai. Je vous demande de veiller au respect des termes de l'instruction INS.EPR 670 en vous assurant que les chargés d'essai s'assurent que l'ensemble des conditions préalables sont satisfaites avant d'engager la réalisation d'un essai de démarrage. S'agissant du cas particulier de l'essai BAS106, je vous demande de justifier le caractère représentatif des résultats d'essai au regard de ces observations. 

## A.8 Conservation Des Structures, Systèmes Et Composants Et Propreté Des Installations

Les visites des installations ont mis en évidence les faits suivants : 

- des clapets du système RCV étaient ouverts sans que des parades aient été mises en place pour empêcher l'introduction de corps étrangers dans ce circuit connecté au circuit primaire principal. Ceci est contraire aux exigences de votre note INS EPR 671 « maîtrise du risque FME » [7] ; 
- dans les niveaux supérieurs des bâtiments électriques, les inspecteurs ont observé des jets de vapeur émanant des siphons de sol du système RPE8, notamment dans le local HLA3421ZL. 

Cette situation indique une communication entre les circuits secondaires principaux et les conduites du système RPE ou, à tout le moins, un défaut d'étanchéité de ce réseau. En première analyse, vos représentants ont indiqué que la cause serait liée à un défaut de conception, aucune garde d'eau n'étant prévue sur le circuit de récupération des condensats de l'échappement du circuit VDA ; 
- de nombreuses flaques d'eau et d'huile ont été observées par les inspecteurs en différents points de l'îlot nucléaire. En particulier, de l'huile s'écoulait au niveau +1,50 m du bâtiment réacteur, sous le groupe motopompe primaire n° 3, apparemment depuis le 19 novembre 2019 selon un affichage local, et des flaques d'eau se trouvaient sous le groupe motopompe primaire n° 4 et le générateur de vapeur n° 4 sans qu'on puisse en déterminer l'origine (aucune fuite apparente ou intervention à proximité) ; 
- l'existence d'une flaque d'huile a été observée dans le local de la bâche APG adjacent au plancher lourd. L'huile semblait provenir d'une traversée de voile vers le plancher lourd ce qui met en question sur l'étanchéité de cette traversée ; 
- de la matière visqueuse s'écoulait du point bas d'un calorifuge de tuyauterie, dans le local 3HRA1105ZL, au niveau +1,50 m du bâtiment réacteur. Vos représentants n'ont pas été en mesure de fournir de précisions sur la nature ou l'origine de cette matière ; 
- des assemblages boulonnés soumis à des vibrations ou devant être qualifiés aux séismes, dont ceux des vannes référencées 3RCV13i4VP et du manchon du filtre 3ASG2206FI, présentaient un ou plusieurs des défauts suivants : absence de dispositif de freinage, aucun filet de la vis ne dépassait d'un écrou, absence de rondelle, etc. ; 
- quelques litres d'eau ont été observés dans un renfoncement formant cuvette, au niveau de la porte référencée 3HRA0705DO, donnant accès à l'IRWST9 ; 
- le calfeutrement d'une trémie interne dans le local HLG0140, à proximité immédiate de la porte 3HLG0104DO, était détérioré ; 
- de l'eau s'écoulait des robinets 3REN7131VP et 3REN7130VP, à raison de quelques litres par heure. Cette eau n'était pas collectée et se répandait sur le sol du local. Ces vannes étaient condamnées au titre d'un régime pour des essais de calibration. Lorsque les inspecteurs en ont fait la remarque, un représentant d'un intervenant extérieur a placé une cuvette sous les robinets et mis en place un kit d'absorbants. 

Je vous demande, en ce qui concerne le premier point, de veiller au respect des exigences de la note INS EPR 671 « maîtrise du risque FME » en mettant en place les parades évitant l'introduction de corps étrangers dans les circuits connectés au circuit primaire principal. S'agissant des autres points, je vous demande de m'apporter tout commentaire utile permettant de déterminer leur origine et, au besoin, leur résolution. 

## A.9 Conditions D'Intervention D'Une Opération De Remplacement De Cannes Chauffantes

Les inspecteurs ont contrôlé une intervention de remplacement de cannes chauffantes sur l'équipement désigné sous la référence 3TEP4311RE. Ils ont relevé les faits suivants : 
- l'exécutant, employé d'un intervenant extérieur, travaillait seul, hors la présence d'un chargé de travaux assumant la direction effective des opérations. Selon les déclarations de cet employé, un chargé de travaux avait bien été désigné. Au moment de l'inspection, celui-ci se trouvait au poste d'accès principal du CNPE, dans l'attente d'une autorisation d'accès ; 
- l'exécutant n'a pas pu présenter de régime de travail justifiant que les conditions de sécurité étaient réunies pour exécuter l'intervention (il est apparu ultérieurement que ce régime avait bien été délivré) ; 
- l'exécutant n'a pas pu présenter de procédure d'exécution, ni de dossier de réalisation des travaux, ni de plan de raccordement, ni de dossier de suivi d'intervention ; 
- interrogé sur ce point par les inspecteurs, l'exécutant a indiqué qu'il appliquait un couple de serrage de 1 N.m aux connecteurs électriques. Dans la mesure où il n'avait aucune gamme opératoire à laquelle se référer, il a déclaré aux inspecteurs qu'il travaillait de mémoire, ayant déjà réalisé cette activité à plusieurs reprises ; 
- compte tenu de l'obscurité de la boîte de raccordement sur laquelle il intervenait, l'exécutant éclairait son chantier à l'aide de la « torche » de son téléphone mobile 
- enfin, aucune action de surveillance des intervenants ne semblait mise en œuvre par EDF sur cette activité. 

Dans la liste de classement des matériels de l'EPR [10], le réchauffeur 3TEP4311RE fait l'objet d'un classement fonctionnel F2 mais est non classé au regard du risque sismique10. Selon le guide d'identification des AIP [9], le raccordement de câbles à un équipement aboutissant classé F2 est une activité importante pour la protection (AIP) au sens du chapitre V de l'arrêté ministériel du 07 février 2012 modifié [3]. À ce titre, les inspecteurs considèrent que les conditions d'intervention précitées ne sont pas au niveau attendu. De plus, les inspecteurs ont relevé que cette intervention faisait l'objet d'un groupe de travail dédié, impliquant des moyens humains importants destinés à sécuriser sa réalisation. Cependant, cette attention particulière n'avait pas abouti à la mise en place d'une surveillance appropriée des intervenants en local, laquelle aurait permis de détecter rapidement les écarts relevés par les inspecteurs.

Je vous demande de veiller au respect du chapitre V de l'arrêté ministériel du 07 février 2012 modifié en vous assurant, en particulier, que : 
- les activités importantes pour la protection (AIP) soient réalisées selon des modalités et avec des moyens permettant de satisfaire a priori les exigences définies pour ces activités et pour les éléments importants pour la protection (EIP) concernés et de vous en assurer a posteriori ; 

- chaque AIP fasse l'objet d'un contrôle technique, assurant que l'activité est exercée conformément aux exigences définies pour cette activité et, le cas échéant, pour les EIP concernés, les personnes réalisant le contrôle technique étant différentes des personnes l'ayant accomplie ; 
- une surveillance des intervenants extérieurs soit mise en œuvre de manière adéquate. 

## A.10 Respect Des Conditions Préalables À La Réalisation De L'Essai Ris111

La décision n° 2013-DC-0347 de l'ASN du 7 mai 2013 en référence [4] dispose que « dans le cas où les prérequis et conditions de réalisation de l'essai de démarrage pris en compte lors de l'élaboration des documents d'exécution d'essais de démarrage ne pourraient être respectés, la justification de la représentativité est réexaminée et est documentée ». Les inspecteurs ont examiné les résultats de l'essai désigné sous la référence RIS111 (« Essais fonctionnels à chaud du RRA »). Exécuté le 04 octobre 2019, cet essai portait sur la vérification de la capacité d'échange de l'échangeur 3RIS4250EX. Ils ont relevé que la procédure d'essai spécifiait comme condition nécessaire que le débit de la partie du circuit de refroidissement RRI11 traversant l'échangeur 3RIS4250EX devait être compris entre 379,4 kg/s et 415 kg/s, ce qui nécessite une incertitude du capteur inférieure à 4,6 %. 

Or les résultats d'essais indiquent que l'incertitude du capteur de débit était de 5,6 % (78 m3/h pour 1384 m3/h). 

Interrogés sur ce point, vos représentants ont indiqué qu'ils n'avaient pas d'avis sur la valeur de débit à obtenir lors de l'essai et qu'ils estimaient que cette valeur n'avait pas d'impact sur la vérification de la performance de l'échangeur. Les inspecteurs considèrent toutefois que cette situation a conduit à minimiser l'incertitude sur la mesure de débit. Je vous demande de justifier et de documenter le caractère représentatif des résultats de l'essai, dans la mesure où l'incertitude de mesure associée au capteur de débit ne permet pas de garantir que les conditions prévues par la procédure ont été respectées. 

## A.11 Qualité De L'Archivage De La Documentation Des Résultats D'Essai

L'article 2.5.6 de l'arrêté ministériel du 07 février 2012 modifié [3] prévoit que « les activités importantes pour la protection (AIP), leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies. Les documents et enregistrements correspondants sont tenus à jour, aisément accessibles et lisibles, protégés, conservés dans de bonnes conditions, et archivés pendant une durée appropriée et justifiée ». Selon la note technique d'identification des AIP [11], l'activité d'établissement des relevés d'exécution d'essai est une AIP. Les inspecteurs ont consulté l'applicatif OneTime, qui assure l'archivage de votre documentation d'essai. Ils ont relevé que le relevé d'exécution d'essai RIS111 faisait référence à l'indice A de la note d'ingénierie référencée D02-DTIMG-F-19-0433, qui conclut à la conformité de la capacité d'échange de l'équipement 3RIS4250EX. Or, les inspecteurs ont eu accès durant l'inspection à l'indice B de cette note. La documentation archivée dans OneTime n'est donc pas la version en vigueur. Je vous demande de veiller à la bonne application de l'article 2.5.6 de l'arrêté ministériel du 07 février 2012 modifié en tenant à jour les documents et enregistrements associés aux résultats d'essais de démarrage. Je vous demande également de m'adresser l'indice A de la note d'ingénierie référencée D02- DTIMG-F-19-0433. 

## A.12 Enregistrement Des Bonnes Pratiques En Vue D'Améliorer L'Exploitation Du Réacteur

L'essai référencé ASG101 (« Injection plein débit dans un GV pressurisé à 97 bar abs ») comprend une phase d'injection d'eau froide dans les générateurs de vapeur. Afin d'anticiper ce transitoire de refroidissement, les essayeurs ajustent le niveau du pressuriseur de manière à éviter les actions automatiques non désirées. Cette pratique provient du retour d'expérience issu de précédents aléas, partagé à l'oral entre ingénieurs sûreté et ingénieurs de permanence. Sa mise en œuvre et les justifications associées n'étaient documentées ni dans la procédure d'essai d'ensemble ni dans la procédure de l'essai référencé ASG101. Du point de vue des inspecteurs, cette pratique, si sa performance était avérée, pourrait être utilement documentée dans le processus de retour d'expérience pour améliorer la conduite du réacteur. Je vous demande de veiller à la documentation, dans les procédures d'essais, de toute modification de l'état du réacteur lors de la réalisation d'un essai de démarrage et des justifications associées notamment lorsqu'un risque est identifié pendant la réalisation de l'essai. En outre, vous m'indiquerez les modalités de pérennisation de ce retour d'expérience pour les essais de démarrage restant à réaliser.

## B Compléments D'Information B.1 Examen Des Résultats De L'Essai Ris111

La vérification de la performance de l'échangeur repose sur la comparaison de deux grandeurs : le coefficient d'échange réel (KSréel) mesuré dans les conditions de l'essai RIS111 et le coefficient d'échange théorique (KSthéorique) obtenu par calcul en tenant compte des conditions de l'essai. La prise en compte des différentes incertitudes (inc(KSréel)) doit être conservative afin de garantir un niveau de confiance de 95% quant à la comparaison effectuée. La procédure de l'essai RIS111 prévoit que l'exigence de performance de l'échangeur est respectée si : KSréel - inc(KSréel) > KSthéorique Les inspecteurs ont également consulté le document D02-DTIMG-F-19-0433 à l'indice B, qui détaille cette comparaison et conclut que « le KS mesuré moins l'incertitude est donc 3,5% supérieur au KS recalculé ». 

## Ks Réel Mesuré

Le guide-type n° 17 « Échangeurs thermiques » (référencé ECEFC110389, indice A) détaille l'attendu concernant l'exploitation des mesures et de leurs incertitudes permettant de déterminer le coefficient d'échange réel (KSréel) mesuré et son incertitude associée. La procédure d'essai examinée par les inspecteurs ne reprend pas la méthode de ce guide qui précise : « Les dérogations éventuelles au guide type seront précisées dans les procédures d'essais des systèmes élémentaires concernés. ». Or aucune justification de compatibilité avec le guide n° 17 n'est mentionnée dans la procédure d'essai. Les valeurs d'incertitudes de l'annexe I de la procédure RIS111 sont en outre différentes de celles indiquées dans la note D02-DTIMG-F-190433 indice B. L'examen du caractère conservatif de ces aménagements de valeurs et de méthodes n'est pas documenté dans le REE. En l'occurrence, les inspecteurs considèrent que : 
- l'incertitude sur le débit RRI de 5,2% n'a visiblement pas été élargie. Les courbes de débit montrent un filtrage insuffisant ou absent et conduit à des fluctuations de la valeur affichée par le contrôle-commande de ±4% : l'incertitude de mesure du débit RRI par ce moyen est donc au moins supérieure à 4%. Il n'apparait pas vraisemblable que l'incertitude sur le KS calculé selon la méthode de l'annexe I de la procédure RIS111 soit élargie pour atteindre le niveau de confiance de 95% requis. 

- la méthode de calcul de l'incertitude de la puissance échangée, calculée par moyenne pondérée, est de nature à sous-estimer cette incertitude et donc l'incertitude globale sur le coefficient d'échange inc(KSréel). 

## Ks Théorique Calculé Dans Les Conditions D'Essai

La note D02-DTIMG-F-19-0433 indice B ne détaille pas le calcul du coefficient d'échange théorique (KSthéorique) dans les conditions d'essais. Interrogés sur ce point, vos représentants ont indiqué que ce raisonnement s'appuyait sur « strictement la même méthodologie de calcul que celle qui a été utilisée pour le dimensionnement de l'appareil (NEEG-F DC 616 C) avec en particulier les mêmes corrélations d'échange ». L'établissement de ce résultat étant une AIP, elle doit être documentée dans le REE ou dans les documents lui étant annexés. En vue de contrôler ce dernier aspect, les inspecteurs ont consulté la note référencée NEEG-F DC 616 à son indice C et ont vérifié l'application de la méthode de transposition. Leurs propres calculs les conduisent à considérer que l'échangeur propre aurait dû présenter une performance théorique d'au moins 1800 kW/°C alors que la note D02-DTIMG-F-19-0433 indice B évoque une performance théorique de 1703 kW/°C. Ils notent donc une divergence de ces résultats, pourtant établis sur une même méthode de calcul. Enfin, les inspecteurs ont appris par ailleurs qu'il existe un indice D de la note NEEG-F DC 616, qui ne leur a pas été présenté. 

## Analyse De La Comparaison Ksréel - Inc(Ksréel) >Ksthéorique

La procédure d'essai RIS111 prévoit que le résultat est satisfaisant lorsque KSréel - inc(KSréel) > KSthéorique. Cette comparaison permet de conclure que l'échangeur tel que construit possède de meilleures performances que celles considérées à sa conception. La note précitée NEEG-F DC 616, indice C, indique que le dimensionnement des échangeurs 3RISi250EX permet de satisfaire le critère de sûreté avec une marge de 6,3%, en ce qui concerne les échangeurs 3RIS2250EX et 3RIS3250EX. Les inspecteurs s'interrogent quant à l'impact sur la comparaison de : 
- l'absence de prise en compte de l'incertitude associée à la méthode de calcul du coefficient KSthéorique (la méthode employée étant pourtant réputée très imprécise avec plus de 20% d'incertitude) ; 
- l'absence de justification des valeurs d'encrassement considérées dans les calculs, au sujet desquelles les inspecteurs ont exprimé des doutes quant à leur caractère conservatif. 

Lors de l'inspection, vos représentants n'ont pas été en mesure de répondre à ces interrogations. Compte tenu de ces différentes observations, les inspecteurs considèrent que la méthode par comparaison adoptée dans le cadre de l'essai RIS111 ne permet pas de conclure définitivement quant au respect de l'exigence de l'échangeur 3RIS4250EX dans les conditions de dimensionnement. Je vous demande de veiller à la bonne application de l'article 2.5.6 de l'arrêté ministériel du 07 février 2012 modifié en : 
- joignant au relevé d'exécution d'essai RIS111 l'argumentaire justifiant les écarts de valeurs des incertitudes retenues dans le calcul de la note D02-DTIMG-F-19-0433 par rapport à la procédure d'essai ; 
- précisant dans la note D02-DTIMG-F-19-0433 le détail du calcul du coefficient d'échange théorique dans les conditions d'essais. 

Je vous demande de m'adresser une argumentation complémentaire permettant de statuer sur le résultat de l'essai RIS111 et les marges de sûreté concernant la capacité des échangeurs 3RISi250EX en : 
- justifiant l'incertitude de mesure de débit RRI et le caractère conservatif de l'incertitude de la puissance échangée, associées au coefficient d'échange réel (KSréel) mesuré lors de l'essai RIS111 ; 
- tenant compte des incertitudes associées à la méthode de calcul du coefficient d'échange théorique KSthéorique ; 
- justifiant que la comparaison de ces valeurs permet de conclure l'essai de manière suffisamment déterminée (avec une confiance de 95%) ; 
- justifiant les valeurs d'encrassement retenues dans la note NEEG-F DC 616. 

Je vous demande également de m'adresser l'indice D de la note d'ingénierie NEEG-F DC 616. 

## B.2 Gestion Des Dispositifs Et Moyens Particuliers (Dmp)

Les activités de pose et de dépose des dispositifs et moyens particuliers (DMP) sont des AIP au regard de la note technique [11]. Notamment, le repérage en local des DMP posés et la gestion de l'ensemble de ces DMP dans l'outil informatisé OneTime sont des exigences associées à ces AIP. Lors des contrôles de l'état des installations, les inspecteurs ont relevé la présence d'étiquetages indiquant la présence de deux DMP référencés 3RCVEN186DMP et 3RCVEN180DMP associés à la dépose de deux clapets du système RCV avec la mention « déposé pour rinçage ». Intrigués par la présence de ces étiquetages alors que les circuits concernés n'étaient pas en phase de rinçage, les inspecteurs ont consulté la base OneTime et il est apparu que : 
- les références inscrites sur les pancartes physiques et dans la base de données n'étaient pas cohérentes ; 
- selon la base informatique, ces DMP sont au statut « déposé » depuis 2017 (les clapets ont été reposés). 

Interrogés sur les modes de preuve associés à la dépose des DMP en 2017, vos représentants ont fourni des dossiers d'intervention relatifs à la pose des clapets datant de 2018. Je vous demande de m'apporter tout commentaire utile à la compréhension de ces incohérences. Au besoin, je vous demande de veiller au respect des exigences encadrant la gestion des dispositifs et moyens particuliers, s'il apparaissait qu'elles n'avaient pas été observées.

## B.3 Aléas Survenus Durant La Réalisation Des Essais De Démarrage Prévus Par La Procédure Bas106

Les inspecteurs ont consulté le relevé d'exécution d'essai (REE) BAS106 (« perte des sources externes au palier des essais à chaud »). Lors de la réalisation des essais prévus par cette procédure, plusieurs aléas sont survenus comme, par exemple, un comportement anormal du circuit RCV avec le déclenchement d'une protection anti-dilution. Les différents aléas survenus ont été présentés succinctement aux inspecteurs mais, les essais s'étant déroulés quelques jours plus tôt, la caractérisation n'était pas achevée et les analyses n'étaient pas encore réalisées. Je vous demande de me transmettre, dès qu'ils seront disponibles, les éléments d'analyse concernant les différents aléas rencontrés durant la réalisation de la procédure BAS106 et permettant de statuer sur la validité des critères d'essais et sur la représentativité des essais. Je vous demande également de me transmettre le document référencé UES FRA000845, qui n'était pas disponible lorsque les inspecteurs ont souhaité le consulter. 

## B.4 Incohérence Entre Valeurs Des Paramètres À Relever Lors Des Essais Et Les Données Constructeurs

Lors de l'analyse des résultats d'essais de la procédure d'essai BAS106 (« perte des sources externes au palier des essais à chaud »), les inspecteurs ont noté que, durant la phase suivant le basculement de l'alimentation électrique du transformateur de soutirage vers le transformateur auxiliaire (bascule TS/TA), le débit d'injection au joint n° 1 des groupes motopompes primaires (IJPP) était d'environ 1000 L/h. Or, le dossier de système élémentaire du système RCV, référencé NGPS6/2006/en/1018 révision I, indique qu'un débit minimal de 1400 L/h est requis pour garantir l'intégrité du joint n° 1. Les inspecteurs ont interrogé vos représentants quant à l'exigence définie du système RCV associée à la fonction d'IJPP et ceux-ci ont indiqué qu'un débit de 1200 L/h était requis. Toutefois les procédures d'essai du système RCV ne mentionnent aucun critère de sûreté associé à ce débit d'injection au joint des groupes motopompes primaires. Je vous demande de préciser le niveau de classement de la fonction d'IJPP en indiquant notamment le débit minimal et maximal requis. Le cas échéant vous justifierez le choix de ne pas avoir associé de critère de sûreté au débit d'injection au joint n° 1 des groupes motopompes primaires dans le cadre des essais de démarrage. Vous commenterez également les conséquences induites sur l'intégrité du joint n° 1 et sur les résultats d'essai par le fait que ce débit n'a pas atteint la valeur de 1400 L/h prévue par la documentation du constructeur.

## B.5 Instrumentation De L'Échangeur De La Pompe De Charge

Les inspecteurs ont contrôlé la performance de l'échangeur 3RCV5255EX associé à la pompe de charge RCV5230PO au moment de sa mise hors service, le 03 décembre 2019 entre 19h et 23h. Ils ont constaté des évolutions de températures complexes à partir des mesures indiquées par les capteurs 3RCV5254MT, 3RCV5256MT et 3RCV5237MT : après l'arrêt de la pompe, la température de l'air à la sortie de l'échangeur devient très supérieure aux températures des autres parties du système. Vos représentants n'ont pas pu expliquer cette évolution. Je vous demande d'expliquer l'évolution des paramètres physiques observée. 

## B.6 Examen De La Suffisance Des Essais Impliquant Le Système Rpr

Les inspecteurs se sont intéressés à la suffisance des essais de démarrage mis en œuvre pour assurer le bon adressage des sorties du système RPR vers les cellules de relayage des actionneurs (PACS). Ils se sont notamment intéressés à une modification du système relative au délestage au cran n° 8 de la cellule de relayage des pompes référencées 3EVUj110PO. 

Il est apparu que le test d'adressage des sorties du système RPR vers les cellules PACS, relatives à cette fonction de délestage, consiste à envoyer simultanément un signal de test à tous les actionneurs concernés du module logiciel SA62. À la suite de quoi, un compte-rendu en retour de ces cellules PACS permet de vérifier la réception de chaque signal sans pouvoir discriminer une éventuelle inversion de câble de raccordement entre la sortie du système RPR et les cellules PACS concernées par un même module logiciel. Je vous demande de m'indiquer l'ensemble des opérations mises en œuvre pour assurer le bon adressage entre les sorties du système RPR et les cellules PACS. Vous me ferez part de votre analyse sur la suffisance de ces opérations pour garantir un adressage adapté de chaque sortie du système. 

## B.7 Analyse D'Un Événement Impliquant La Mise En Configuration Des Circuits Asg

Les inspecteurs ont examiné les premiers éléments d'analyse d'échec de première réalisation, le 4 décembre 2019, de l'essai précédemment cité sous la référence ASG101. Lors de la mise en service d'un train ASG en injection dans les générateurs de vapeur, les capteurs de débit de cette ligne sont passés hors de la gamme de mesure et l'essai a été interrompu par les essayeurs. D'après vos représentants, ce phénomène pourrait être attribué à la présence d'air, introduit dans les tuyauteries lors de la mise en configuration de la ligne ASG (notamment, lignage et remplissage des circuits). Je vous demande de me faire part de votre analyse de cet événement et du retour d'expérience que vous en tirez. Au besoin, vous veillerez en particulier à tirer profit de ces enseignements pour identifier des modalités adaptées de mise en configuration du circuit ASG, à mettre en œuvre lors de l'exploitation du réacteur. Vous veillerez notamment à me faire part de votre analyse de l'exploitation de ce retour d'expérience pour la définition des condamnations administratives d'exploitation. 

## B.8 Analyse D'Un Événement Impliquant Le Contrôle-Commande

Les inspecteurs ont examiné les premiers éléments d'analyse d'événements rencontrés lors des essais de contrôle-commande du pseudo-système12 référencé COC13. Ils se sont notamment intéressés à des difficultés rencontrées lors d'un basculement des communs du circuit RRI du train n° 2 vers le train n° 4, à l'occasion de l'essai référencé COC108 (« perte de la division 3, tranche en condition d'AN/RIS-RA »). En première analyse, il apparaît que le contrôle-commande standard aurait provoqué la fermeture d'une vanne, rendant inefficace les actions du système de protection. Lors de l'inspection, ces éléments étaient en cours d'investigation et nécessitaient encore une analyse approfondie pour identifier correctement les faits et causes associés à cet événement. Je vous demande de me faire part de votre analyse de l'événement susmentionné et du retour d'expérience que vous en tirez. Vous veillerez notamment à vous positionner sur l'adéquation de la conception s'il s'avèrait qu'un ordre du contrôle-commande standard ait effectivement rendu inefficace un ordre du système de protection. 

## B.9 Examen De L'Impact Des Modifications Du Contrôle-Commande Sur La Représentativité Des Essais De Démarrage

Un travail préparatoire a été mené par EDF pour élaborer des scripts de modification du système RPR permettant de réaliser les essais à chaud. Ces scripts de modification consistaient notamment en un script générique de long terme (appliqué pendant toute la réalisation des essais à chaud) et des scripts spécifiques à certains essais (appliqués pour ces essais particuliers). Ce travail préparatoire a été réalisé pour fiabiliser la configuration du contrôle-commande pendant les essais à chaud. Par sondage, les inspecteurs ont vérifié que les fonctions requises et essayées lors de ces essais à chaud étaient correctement prises en compte dans ce travail préparatoire, ce qui était apparemment le cas. Néanmoins, ils ont relevé que les modifications de certaines fonctions du système RPR ont conduit à les placer dans un état différent de celui prévu pour l'exploitation. En ce sens, par exemple, des modifications ont été apportées aux fonctions : 
- d'isolement de l'enceinte (afin notamment d'inhiber certains automatismes, ce qui a été autorisé par EDF du fait de l'absence de combustible dans le réacteur et donc d'impact sur la sûreté de l'installation), 
- de protection anti-dilution (du fait d'essais réalisés avec une concentration en bore non représentative de celle prescrite en exploitation), 
- de protection par mesure du flux nucléaire dans le cœur (du fait de l'absence de combustible dans le cœur et de l'absence des capteurs de mesure du flux nucléaire), 
- ou encore d'arrêt automatique du réacteur (afin notamment d'inhiber la chute des grappes dans le cœur du fait de l'absence de combustible dans le cœur). 

D'autres modifications ont également consisté à modifier des seuils de déclenchement afin d'éviter des ordres de protection non souhaités lors des essais à chaud. Les inspecteurs ont noté par exemple la rehausse d'un seuil de niveau haut dans les générateurs de vapeur implémentée dans le script générique des essais à chaud. 

Ces modifications apportées au système RPR amènent les inspecteurs à considérer que plusieurs essais d'ensemble ont été réalisés dans une configuration différente de celle prévue en exploitation. Les inspecteurs se sont par conséquent intéressés à l'impact de ces modifications sur le déroulement et la représentativité de certains essais d'ensemble correspondant à des transitoires tels que, par exemple, les essais de contrôle-commande du pseudo-système COC ou encore l'essai de basculement de source référencé BAS106. En effet, certains critères de réussite de ces essais particuliers sont liés au bon déroulement de l'essai, incluant un comportement correct de l'ensemble des systèmes tel qu'il devra être lors de la future exploitation. Or, après modification de seuils en vue d'éviter des ordres de protection non souhaités, il est possible que les seuils fixés pour l'exploitation aient été atteints lors de ces essais et que les systèmes montrent un comportement différents de celui prévu à l'exploitation ; la modification des seuils aurait ainsi affecté le bon déroulement de l'essai dans une configuration telle que prévue en exploitation. De plus, les inspecteurs se sont intéressés à l'impact de ces modifications dans le cadre de quelques essais particuliers comme par exemple, l'impact de la modification de rehausse d'un seuil de niveau haut dans les générateurs de vapeur sur les essais à chaud du système ASG et les régulations associées. En effet, lors de ces essais, le seuil rehaussé n'a pas été atteint mais aurait pu l'être s'il avait été placé dans une configuration telle que prévue en exploitation. Sur ce sujet, les inspecteurs reconnaissent que l'objectif principal de l'essai est de valider les performances du système ASG mais il paraît important que l'essai démontre également le bon comportement de l'installation dans son ensemble et tel que prévu en exploitation. Enfin, les inspecteurs ont relevé que le système RPR n'avait pas fait l'objet de tous les essais requis préalablement aux essais à chaud. En effet, ces essais nécessitent une maturité avancée du système, ce qui implique que la plupart des essais préliminaires soient réalisés en totalité. Selon vos représentants, plusieurs de ces essais n'ont pu être joués que partiellement du fait de l'avancement du montage, certains capteurs ou actionneurs n'étant pas installés, ou en raison de l'absence d'opportunité de réalisation de certains essais. Néanmoins, il apparaît que, lors de la préparation des essais à chaud, vos services ont mené une analyse pour assurer que les essais relatifs aux fonctions du système RPR requises pour les essais à chaud avaient bien été réalisés. Les inspecteurs considèrent que ces essais, reportés après les essais à chaud, pourraient conduire à la détection de certains écarts, lesquels pourraient nécessiter des modifications du système RPR. L'impact de ces modifications sur les essais à chaud devra être analysé et, si cela s'avère nécessaire, une partie de ces essais pourrait être à réaliser de nouveau. Considérant que la configuration du système RPR mise en œuvre lors des essais de démarrage est différente de celle prévue en exploitation, je vous demande de me faire part de votre analyse de la représentativité des essais à chaud ainsi réalisés notamment vis-à-vis des transitoires normaux et accidentels attendus en exploitation. Vous veillerez à m'indiquer pour chaque fonction modifiée du système de protection, l'impact potentiel sur la représentativité des essais à chaud vis-à-vis du comportement d'ensemble de l'installation en exploitation. En outre, vous veillerez à vous positionner sur l'impact sur la représentativité des essais à chaud de toute modification du système RPR ultérieure à ces essais, notamment dans le cadre du solde des essais préliminaires des systèmes de contrôle-commande et du traitement des éventuels écarts rencontrés à cette occasion. 

## C Observations C.1 Surveillance Et Gestion Des Alarmes Liées À La Réalisation Des Essais

Certains essais d'ensemble provoquent l'apparition d'alarmes en grand nombre. C'est le cas, par exemple, de l'essai désigné sous la référence BAS106 (« perte des sources externes au palier des essais à chaud »). Ces alarmes sont en majorité attendues dans le déroulement de l'essai et ne correspondent pas à un motif d'alerte. Elles représentent néanmoins une charge de traitement et de justification pour les opérateurs du service conduite. Si certaines procédures d'essai mentionnent l'apparition d'alarmes, c'est généralement en tant qu'observables destinés à sanctionner l'atteinte d'un critère d'essai. Du point de vue de l'ASN, les opérateurs de la salle de commande pourraient gagner à disposer d'une liste préétablie des alarmes attendues lors d'un essai. Cette liste pourrait permettre d'anticiper leur gestion ou de les différencier des alarmes non prévues par la procédure d'essai ou associées à un défaut affectant réellement l'installation. 

## C.2 Confrontation Entre L'Ingénieur Sûreté Et L'Ingénieur Chargé De L'Analyse Des Essais

Les inspecteurs ont assisté à une confrontation entre l'ingénieur sûreté et l'ingénieur chargé de l'analyse des essais. Cette confrontation entre représentants de la filière indépendante de sûreté et représentants du groupe essais de démarrage a pour but d'assurer que les essais se déroulent dans les conditions prévues par le programme d'essais et que les adaptations réalisées ne sont pas de nature à dégrader la sûreté actuelle ou future de l'installation. Les inspecteurs ont noté que cette confrontation était bien préparée et que le niveau de qualité des échanges était satisfaisant. Ils ont cependant regretté que ces échanges n'aient pas abordé les questions de la représentativité des essais compte tenu des adaptations du programme des essais, des éventuels incidents ou encore du respect des prérequis et de la gestion des configurations d'essais. 

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas un mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement et conformément à l'article R. 596-5 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

L'Inspecteur en Chef, Signé Christophe Quintin 